Cómo comprobar el checksum SHA-256 de una descarga en tu navegador

Un checksum es una huella corta calculada a partir del contenido de un archivo. Si calculas el hash del archivo que descargaste y el resultado coincide con el valor que publica el editor, el archivo es byte a byte el que ellos hashearon. Si cambia aunque sea un solo bit, la huella cambia por completo. Arrastra el archivo a el generador de hash, pega el valor publicado y la herramienta te indica qué algoritmo coincide.

Qué demuestra un checksum

Un checksum detecta cambios. Sirve para encontrar una descarga que se cortó a mitad, un archivo dañado por una conexión inestable o un disco que falla, y un espejo que sirve una versión distinta de la original. Estos errores son habituales, y un hash que coincide los descarta.

No demuestra que el editor sea de confianza. Supón que un atacante puede cambiar el archivo en una página de descarga y también editar el hash que aparece junto a él. Los dos coinciden y la comprobación pasa. Un checksum es tan fiable como el lugar del que sacaste el hash. Para que la comprobación tenga valor, el hash debe llegar por un canal distinto al del archivo: un anuncio de versión firmado, un archivo de checksums con firma GPG, los registros de un gestor de paquetes o la web del editor, a la que llegas escribiendo tú mismo la dirección. Un hash copiado del mismo enlace que el archivo aporta poco frente a un atacante decidido.

Que el hash coincida tampoco dice nada sobre lo que hace el programa. Solo confirma que tienes el archivo que el editor hasheó. Si ese archivo es seguro es una cuestión sobre el editor, que se responde con la firma, la reputación de la fuente y los pasos de verificación del proyecto, si los tiene.

Dónde publican los editores los hashes

Busca primero cerca del botón de descarga. Muchos proyectos imprimen el valor SHA-256 en la página de descarga. Los proyectos más grandes suelen publicar un archivo, con nombres como SHA256SUMS o similares, con una línea por descarga, y a veces un archivo de firma junto a él. Algunas plataformas de software guardan los hashes en sus propios metadatos. El README y las notas de la versión son los otros lugares habituales.

Fíjate también en el nombre del algoritmo. Una línea que dice SHA-256 necesita un hash SHA-256, que son 64 caracteres hexadecimales. Un valor de 32 caracteres es MD5, y uno de 40 es SHA-1. La herramienta necesita saber cuál estás comparando, y tú también.

Compara el hash en cuatro pasos

1. Descarga el archivo una vez, desde la página oficial.
2. Abre el generador de hash, elige Archivo y arrastra el archivo. Espera a que termine. Los archivos muy grandes pueden tardar y superar lo que el navegador puede tener en memoria.
3. Pega el hash publicado en Hash esperado, opcional. Se ignoran las mayúsculas y los espacios, así que sirve un valor en mayúsculas copiado de una página.
4. Busca la coincidencia. La herramienta indica qué algoritmo coincide. Si ninguno coincide, no ejecutes el archivo. Descárgalo de nuevo. Si la segunda copia también falla, el valor publicado y tu archivo no coinciden, y debes preguntar al editor cuál es el correcto.

Si prefieres la terminal, la misma comprobación se hace con un comando. En Linux, ejecuta sha256sum sobre el archivo. En macOS, shasum -a 256 hace lo mismo. En PowerShell de Windows, Get-FileHash -Algorithm SHA256 con la ruta del archivo da el valor. La salida es la misma cadena hexadecimal que muestra la herramienta.

El hash no sirve solo para comparar con un valor publicado. La comprobación de corrupción usa la misma idea para indicarte si un archivo está dañado, y los archivos duplicados se encuentran del mismo modo, comparando hashes para señalar copias idénticas en una carpeta.

Hashear texto escrito

El modo de texto calcula el hash de lo que escribes o pegas. Primero convierte el texto a bytes UTF-8. Un cuadro de texto guarda los saltos de línea como LF, así que el texto pegado se hashea con finales de línea LF, sea cual sea el sistema del que venga. Un archivo guardado en Windows suele terminar cada línea con CRLF, y sus bytes producen un hash distinto. Por eso, cuando un editor te da el hash de un archivo, usa el modo Archivo y hashea el archivo tal cual. Si necesitas ver exactamente en qué se diferencian dos versiones, la herramienta de comparar texto muestra los cambios uno al lado del otro.

Por qué MD5 y SHA-1 son débiles

La herramienta ofrece MD5 y SHA-1 porque muchas páginas de descarga antiguas todavía los publican. Para detectar corrupción, sirven. Un cambio accidental es muy improbable que produzca por casualidad un valor MD5 o SHA-1 que coincida.

Frente a un atacante, no. Una colisión son dos entradas distintas con el mismo hash. Hoy se pueden generar colisiones de MD5 a bajo coste, así que ningún uso de seguridad debe basarse en MD5. Una colisión de SHA-1 se demostró públicamente en 2017, y desde entonces los navegadores y las autoridades de certificación han retirado SHA-1 para las firmas. Si un editor solo ofrece MD5 o SHA-1, pide SHA-256 o un archivo de checksums firmado. Para cualquier caso en el que alguien pueda manipular el archivo a propósito, usa SHA-256 o uno más fuerte. No se conoce ningún ataque práctico que rompa SHA-256 en el momento de escribir esto. La guía de algoritmos explica cuál elegir.

Respuestas rápidas

¿Un hash que coincide significa que el archivo es seguro? Significa que el archivo es el que se hasheó. La seguridad depende de si el hash viene de una fuente en la que confías.

¿Pueden dos archivos distintos tener el mismo SHA-256? En la práctica, no. No se conoce ningún método práctico para encontrar un par así en el momento de escribir esto.

¿Por qué no coincide mi hash después de copiarlo? Comprueba primero el algoritmo. Luego busca un carácter que falte o sobre, o una copia cortada. Se ignoran las mayúsculas y los espacios, así que no son la causa.